「Zimbra」に複数の深刻な脆弱性 - 最新版へアップデートを

Synacorが開発を手がける「Zimbra Collaboration Suite（ZCS）」に複数の脆弱性が判明した。最新版へアップデートするよう呼びかけられている。

「ZCS」は、メールやスケジューラ、アドレス帳、ファイル共有などの機能を備えたコラボレーションツール。バージョンによって影響を受ける脆弱性は異なるが、「CVE-2025-25064」「CVE-2025-25065」「CVE-2024-45516」など複数の脆弱性が明らかとなった。

「CVE-2025-25065」は、「ZCS」に含まれる「ZimbraSync Service SOAPエンドポイント」に見つかったSQLインジェクションの脆弱性。悪用には認証が必要となるが、任意のSQLクエリを注入し、メール関連データの取得などが可能となる。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」と評価。重要度を「クリティカル（Critical）」とレーティングしている。

また内部ネットワークのエンドポイントに対する不正なリダイレクトが発生するサーバサイドリクエストフォージェリ（SSRF）の「CVE-2025-25064」や、クロスサイトスクリプティング（XSS）の脆弱性「CVE-2024-45516」などもあわせて判明した。

（Security NEXT - 2025/02/10 ）ツイート